CVE-2023-5454: luka w wtyczce Templately dla WordPress umożliwiająca usuwanie postów bez autoryzacji

Co wiadomo

Wtyczka Templately dla WordPress w wersjach przed 2.2.6 nieprawidłowo autoryzuje wywołanie REST API `saved-templates/delete`, co pozwala nieautoryzowanym użytkownikom na usuwanie dowolnych postów. Luka ma wysoką ocenę CVSS 7.5 i może prowadzić do poważnych zakłóceń w działaniu serwisu.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do usunięcia ważnych treści na stronie internetowej, co może skutkować utratą danych, przerwami w działaniu serwisu oraz negatywnym wpływem na reputację firmy. Operatorzy IT powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza w środowiskach produkcyjnych opartych na WordPress z zainstalowaną wtyczką Templately.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Templately do wersji 2.2.6 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do REST API oraz monitorować logi serwera pod kątem podejrzanych wywołań `saved-templates/delete`. Dodatkowo należy przeprowadzić przegląd uprawnień użytkowników i wdrożyć mechanizmy kontroli dostępu.

Źródła

• NVD
• Reference